מה מתעדים לפני שמשנים תצורה
רשמו כתובת מלאה, זמן ותוכן השגיאה או צילום ללא פרטים רגישים. הבחינו בין הדומיין הראשי, www ותת-דומיין של מערכת אחרת. בדקו אם הבעיה מופיעה במכשיר נוסף או רק בסביבה מסוימת, בלי לשלוח סיסמאות או לבצע תשלום דרך חיבור שמציג אזהרה.
בעל האתר יכול לבדוק אם היה חידוש תעודה, מעבר אחסון, שינוי DNS או הוספת מתווך. אין להסיק שכל אזהרה מעידה על פריצה, או שכל תקלה מקומית היא בעיה אצל הגולש. שעון שגוי, אמון מקומי ותצורת שרת הם כיווני בירור שונים שמצריכים ראיות.
איך ממיינים את הסימפטום
הטבלה מציעה מסלול בירור ואינה מאבחנת את המערכת מרחוק. טקסט השגיאה וקוד הספק חשובים יותר מהכינוי הכללי SSL. שינויים מתבצעים רק בידי גורם בעל סמכות וגישה מתאימה.
| סימפטום | מה לבדוק | מה לא לעשות |
|---|---|---|
| שם לא תואם | האם התעודה מכסה את המארח המבוקש | לא להפנות סתם לדומיין אחר |
| תוקף לא מתאים | תאריכים ותהליך חידוש | לא להסתפק בהנפקה שלא הותקנה |
| אמון או שרשרת | תעודה ושרשרת במערכת שמגישה אותן | לא לבקש מכל לקוח להתקין חריג |
| תקלה מאחורי מתווך | איזה חיבור נכשל ומה קוד השגיאה | לא להחליש אימות באופן גורף |
בדקו את החיבור לצופה ואת החיבור למקור בנפרד
כשיש מתווך, התעודה שמקבל הדפדפן אינה בהכרח אותה תעודה שמציג שרת המקור. ב-Cloudflare, Full (strict) בודק דרישות תוקף, אמון ושם גם בתעודת המקור. בעיה במקטע הזה עשויה להיראות לגולש אחרת מאזהרת תעודה רגילה.
זהו הקשר מוצר מוגדר ולא הוראה לשנות מצב הצפנה בכל אתר. בדקו את התצורה לפני שינוי, את התעודה המוגשת במקטע הרלוונטי ואת השם המבוקש. גם מקור עם HTTPS צריך לקבל בקשות בצורה שמתאימה לארכיטקטורה ולמדיניות האתר.
תקנו גם את תהליך החידוש ולא רק את התאריך
לאחר שמזהים תעודה שפגה, צריך לברר למה החידוש או הפריסה לא הושלמו: הרשאה, אימות שליטה, תזמון או רכיב שלא טען את התעודה החדשה. הנפקה מוצלחת אינה מוכיחה שהשירות שאליו מגיעים המשתמשים כבר מגיש אותה.
Let’s Encrypt מתארת שילוב לקוח ותשתית שצריכים להישאר ניתנים לעדכון. היישום בפועל תלוי באחסון ובכלי הניהול. קבעו מי אחראי לחידוש ולהתראה, ואל תשתפו מפתח פרטי דרך טופס ציבורי. שחזור מגיבוי או העתקת תעודה ממערכת אחרת אינם פתרונות אוטומטיים.
דוגמה: האתר הראשי תקין אבל מערכת ההזמנות מציגה אזהרה
זו דוגמה להמחשה, לא מקרה לקוח. הדומיין הראשי עולה, אך קישור ההזמנות מוביל לתת-דומיין בעל תעודה אחרת. בדיקת דף הבית בלבד החמיצה את הבעיה. האחראי ממפה את הכתובות, מטפל בתעודה או בתצורה של המארח הרלוונטי ובודק את המסלול המלא.
אם קיימת מדיניות HSTS, הדפדפן עשוי לא לאפשר עקיפה בעת שגיאת TLS. אין להתייחס לכך כהוראה להסיר הגנה; יש לטפל בתקינות HTTPS ובתחולת המדיניות. היסטוריית מדיניות בדפדפן יכולה להישאר גם אחרי שינוי בצד השרת, ולכן לא מבטיחים תיקון מיידי על ידי הסרת כותרת.
איך מאמתים סיום ומתי צריך לעצור
בדקו מחדש כל שם מארח שבהיקף: חיבור תקין, הפניות ופעולה עסקית מאושרת כמו פתיחת טופס ושליחת נתון ניסיון. אין לבצע חיוב חי או להעביר מידע רגיש לצורך ניסוי בלי אישור. רשמו מה נבדק ומה נשאר אצל ספק אחר.
אם אין גישת ניהול, מקור התקלה אינו ברור או שמבקשים להוריד הגנות כדי להמשיך, עצרו שינוי עצמאי ותאמו טיפול. בבקשה לסיוע ציינו כתובת, שגיאה, זמן ושינויים אחרונים. אישור חיבור מאובטח אינו אישור שהיישום כולו נקי או חסין מתקיפות.
